開発チームはAccount A（開発環境）にデプロイされたLambda関数から、Account B（本番環境）のDynamoDBテーブルのデータを読み取る必要があります。最小権限の原則に従い、長期的なアクセスキーの管理リスクを排除した、最も安全な実装はどれですか？
正解： Account AのLambda実行ロールにsts:AssumeRole権限を付与する。Account Bに必要なDynamoDB読み取り権限を持つIAMロールを作成し、そのトラストポリシーでAccount AのLambda実行ロールARNを信頼エンティティとして設定する。LambdaコードではSTSのAssumeRoleで一時認証情報を取得してDynamoDBにアクセスする クロスアカウントアクセスの標準的かつ最も安全なパターンはSTS AssumeRoleです。一時認証情報はデフォルトで1時間で失効するため漏洩リスクが低く、最小権限の原則に沿っています。 選択肢AのIAMユーザーアクセスキーは長期認証情報であり管理リスクが高いです。 選択肢CについてはAmazon DynamoDBは2023年11月よりリソースベースポリシーをサポートしており技術的なクロスアカウントアクセス自体は可能ですが、STS AssumeRoleのような一時認証情報を使用しないため漏洩リスクが相対的に高く、AWSが推奨する標準的なクロスアカウントアクセスパターンでもありません。 選択肢DのVPCピアリングとDynamoDB VPCエンドポイントはネットワーク経路を提供するものに過ぎず、IAMによる認証・認可を回避する手段にはならないため不正解です。